Vulnerability Details CVE-2026-40889
Frappe HR is an open-source human resources management solution (HRMS). Prior to versions 15.58.2 and 16.4.2, authenticated users can access unauthorized files by exploiting certain api endpoint. Versions 15.58.2 and 16.4.2 contain a patch. No known workarounds are available.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.0
EPSS Ranking 8.5%
CVSS Severity
CVSS v3 Score 6.5
Products affected by CVE-2026-40889
-
cpe:2.3:a:frappe:frappe_hr:1.0.0
-
cpe:2.3:a:frappe:frappe_hr:14.0.0
-
cpe:2.3:a:frappe:frappe_hr:14.0.1
-
cpe:2.3:a:frappe:frappe_hr:14.0.2
-
cpe:2.3:a:frappe:frappe_hr:14.0.3
-
cpe:2.3:a:frappe:frappe_hr:14.1.0
-
cpe:2.3:a:frappe:frappe_hr:14.1.1
-
cpe:2.3:a:frappe:frappe_hr:14.1.2
-
cpe:2.3:a:frappe:frappe_hr:14.1.3
-
cpe:2.3:a:frappe:frappe_hr:14.10.0
-
cpe:2.3:a:frappe:frappe_hr:14.10.1
-
cpe:2.3:a:frappe:frappe_hr:14.10.2
-
cpe:2.3:a:frappe:frappe_hr:14.10.3
-
cpe:2.3:a:frappe:frappe_hr:14.10.4
-
cpe:2.3:a:frappe:frappe_hr:14.10.5
-
cpe:2.3:a:frappe:frappe_hr:14.10.6
-
cpe:2.3:a:frappe:frappe_hr:14.11.0
-
cpe:2.3:a:frappe:frappe_hr:14.11.1
-
cpe:2.3:a:frappe:frappe_hr:14.12.0
-
cpe:2.3:a:frappe:frappe_hr:14.12.1
-
cpe:2.3:a:frappe:frappe_hr:14.13.0
-
cpe:2.3:a:frappe:frappe_hr:14.13.1
-
cpe:2.3:a:frappe:frappe_hr:14.14.0
-
cpe:2.3:a:frappe:frappe_hr:14.15.0
-
cpe:2.3:a:frappe:frappe_hr:14.16.0
-
cpe:2.3:a:frappe:frappe_hr:14.16.1
-
cpe:2.3:a:frappe:frappe_hr:14.17.0
-
cpe:2.3:a:frappe:frappe_hr:14.18.0
-
cpe:2.3:a:frappe:frappe_hr:14.18.1
-
cpe:2.3:a:frappe:frappe_hr:14.19.0
-
cpe:2.3:a:frappe:frappe_hr:14.2.0
-
cpe:2.3:a:frappe:frappe_hr:14.2.1
-
cpe:2.3:a:frappe:frappe_hr:14.2.2
-
cpe:2.3:a:frappe:frappe_hr:14.2.3
-
cpe:2.3:a:frappe:frappe_hr:14.2.4
-
cpe:2.3:a:frappe:frappe_hr:14.20.0
-
cpe:2.3:a:frappe:frappe_hr:14.20.1
-
cpe:2.3:a:frappe:frappe_hr:14.21.0
-
cpe:2.3:a:frappe:frappe_hr:14.21.1
-
cpe:2.3:a:frappe:frappe_hr:14.21.2
-
cpe:2.3:a:frappe:frappe_hr:14.21.3
-
cpe:2.3:a:frappe:frappe_hr:14.21.4
-
cpe:2.3:a:frappe:frappe_hr:14.21.5
-
cpe:2.3:a:frappe:frappe_hr:14.21.6
-
cpe:2.3:a:frappe:frappe_hr:14.22.0
-
cpe:2.3:a:frappe:frappe_hr:14.22.1
-
cpe:2.3:a:frappe:frappe_hr:14.23.0
-
cpe:2.3:a:frappe:frappe_hr:14.24.0
-
cpe:2.3:a:frappe:frappe_hr:14.24.1
-
cpe:2.3:a:frappe:frappe_hr:14.24.2
-
cpe:2.3:a:frappe:frappe_hr:14.25.0
-
cpe:2.3:a:frappe:frappe_hr:14.26.0
-
cpe:2.3:a:frappe:frappe_hr:14.26.1
-
cpe:2.3:a:frappe:frappe_hr:14.26.2
-
cpe:2.3:a:frappe:frappe_hr:14.27.0
-
cpe:2.3:a:frappe:frappe_hr:14.27.1
-
cpe:2.3:a:frappe:frappe_hr:14.28.0
-
cpe:2.3:a:frappe:frappe_hr:14.28.1
-
cpe:2.3:a:frappe:frappe_hr:14.28.2
-
cpe:2.3:a:frappe:frappe_hr:14.28.3
-
cpe:2.3:a:frappe:frappe_hr:14.28.4
-
cpe:2.3:a:frappe:frappe_hr:14.28.5
-
cpe:2.3:a:frappe:frappe_hr:14.28.6
-
cpe:2.3:a:frappe:frappe_hr:14.28.7
-
cpe:2.3:a:frappe:frappe_hr:14.28.8
-
cpe:2.3:a:frappe:frappe_hr:14.29.0
-
cpe:2.3:a:frappe:frappe_hr:14.29.1
-
cpe:2.3:a:frappe:frappe_hr:14.29.2
-
cpe:2.3:a:frappe:frappe_hr:14.29.3
-
cpe:2.3:a:frappe:frappe_hr:14.3.0
-
cpe:2.3:a:frappe:frappe_hr:14.3.1
-
cpe:2.3:a:frappe:frappe_hr:14.3.2
-
cpe:2.3:a:frappe:frappe_hr:14.3.3
-
cpe:2.3:a:frappe:frappe_hr:14.3.4
-
cpe:2.3:a:frappe:frappe_hr:14.30.0
-
cpe:2.3:a:frappe:frappe_hr:14.30.1
-
cpe:2.3:a:frappe:frappe_hr:14.31.0
-
cpe:2.3:a:frappe:frappe_hr:14.32.0
-
cpe:2.3:a:frappe:frappe_hr:14.33.0
-
cpe:2.3:a:frappe:frappe_hr:14.34.0
-
cpe:2.3:a:frappe:frappe_hr:14.34.1
-
cpe:2.3:a:frappe:frappe_hr:14.34.2
-
cpe:2.3:a:frappe:frappe_hr:14.35.0
-
cpe:2.3:a:frappe:frappe_hr:14.35.1
-
cpe:2.3:a:frappe:frappe_hr:14.35.2
-
cpe:2.3:a:frappe:frappe_hr:14.35.3
-
cpe:2.3:a:frappe:frappe_hr:14.35.4
-
cpe:2.3:a:frappe:frappe_hr:14.36.0
-
cpe:2.3:a:frappe:frappe_hr:14.36.1
-
cpe:2.3:a:frappe:frappe_hr:14.36.10
-
cpe:2.3:a:frappe:frappe_hr:14.36.11
-
cpe:2.3:a:frappe:frappe_hr:14.36.12
-
cpe:2.3:a:frappe:frappe_hr:14.36.2
-
cpe:2.3:a:frappe:frappe_hr:14.36.3
-
cpe:2.3:a:frappe:frappe_hr:14.36.4
-
cpe:2.3:a:frappe:frappe_hr:14.36.5
-
cpe:2.3:a:frappe:frappe_hr:14.36.6
-
cpe:2.3:a:frappe:frappe_hr:14.36.7
-
cpe:2.3:a:frappe:frappe_hr:14.36.8
-
cpe:2.3:a:frappe:frappe_hr:14.36.9
-
cpe:2.3:a:frappe:frappe_hr:14.37.0
-
cpe:2.3:a:frappe:frappe_hr:14.37.1
-
cpe:2.3:a:frappe:frappe_hr:14.37.10
-
cpe:2.3:a:frappe:frappe_hr:14.37.11
-
cpe:2.3:a:frappe:frappe_hr:14.37.12
-
cpe:2.3:a:frappe:frappe_hr:14.37.13
-
cpe:2.3:a:frappe:frappe_hr:14.37.2
-
cpe:2.3:a:frappe:frappe_hr:14.37.3
-
cpe:2.3:a:frappe:frappe_hr:14.37.4
-
cpe:2.3:a:frappe:frappe_hr:14.37.5
-
cpe:2.3:a:frappe:frappe_hr:14.37.6
-
cpe:2.3:a:frappe:frappe_hr:14.37.7
-
cpe:2.3:a:frappe:frappe_hr:14.37.8
-
cpe:2.3:a:frappe:frappe_hr:14.37.9
-
cpe:2.3:a:frappe:frappe_hr:14.38.0
-
cpe:2.3:a:frappe:frappe_hr:14.38.1
-
cpe:2.3:a:frappe:frappe_hr:14.4.0
-
cpe:2.3:a:frappe:frappe_hr:14.4.1
-
cpe:2.3:a:frappe:frappe_hr:14.4.2
-
cpe:2.3:a:frappe:frappe_hr:14.4.3
-
cpe:2.3:a:frappe:frappe_hr:14.4.4
-
cpe:2.3:a:frappe:frappe_hr:14.4.5
-
cpe:2.3:a:frappe:frappe_hr:14.5.0
-
cpe:2.3:a:frappe:frappe_hr:14.5.1
-
cpe:2.3:a:frappe:frappe_hr:14.6.0
-
cpe:2.3:a:frappe:frappe_hr:14.6.1
-
cpe:2.3:a:frappe:frappe_hr:14.6.2
-
cpe:2.3:a:frappe:frappe_hr:14.7.0
-
cpe:2.3:a:frappe:frappe_hr:14.8.0
-
cpe:2.3:a:frappe:frappe_hr:14.9.0
-
cpe:2.3:a:frappe:frappe_hr:15.0.0
-
cpe:2.3:a:frappe:frappe_hr:15.1.0
-
cpe:2.3:a:frappe:frappe_hr:15.10.0
-
cpe:2.3:a:frappe:frappe_hr:15.11.0
-
cpe:2.3:a:frappe:frappe_hr:15.11.1
-
cpe:2.3:a:frappe:frappe_hr:15.12.0
-
cpe:2.3:a:frappe:frappe_hr:15.13.0
-
cpe:2.3:a:frappe:frappe_hr:15.13.1
-
cpe:2.3:a:frappe:frappe_hr:15.14.0
-
cpe:2.3:a:frappe:frappe_hr:15.14.1
-
cpe:2.3:a:frappe:frappe_hr:15.14.2
-
cpe:2.3:a:frappe:frappe_hr:15.15.0
-
cpe:2.3:a:frappe:frappe_hr:15.16.0
-
cpe:2.3:a:frappe:frappe_hr:15.17.0
-
cpe:2.3:a:frappe:frappe_hr:15.18.0
-
cpe:2.3:a:frappe:frappe_hr:15.19.0
-
cpe:2.3:a:frappe:frappe_hr:15.2.0
-
cpe:2.3:a:frappe:frappe_hr:15.20.0
-
cpe:2.3:a:frappe:frappe_hr:15.20.1
-
cpe:2.3:a:frappe:frappe_hr:15.20.2
-
cpe:2.3:a:frappe:frappe_hr:15.20.3
-
cpe:2.3:a:frappe:frappe_hr:15.21.0
-
cpe:2.3:a:frappe:frappe_hr:15.21.1
-
cpe:2.3:a:frappe:frappe_hr:15.21.2
-
cpe:2.3:a:frappe:frappe_hr:15.22.0
-
cpe:2.3:a:frappe:frappe_hr:15.22.1
-
cpe:2.3:a:frappe:frappe_hr:15.22.2
-
cpe:2.3:a:frappe:frappe_hr:15.22.3
-
cpe:2.3:a:frappe:frappe_hr:15.23.0
-
cpe:2.3:a:frappe:frappe_hr:15.23.1
-
cpe:2.3:a:frappe:frappe_hr:15.24.0
-
cpe:2.3:a:frappe:frappe_hr:15.25.0
-
cpe:2.3:a:frappe:frappe_hr:15.25.1
-
cpe:2.3:a:frappe:frappe_hr:15.25.2
-
cpe:2.3:a:frappe:frappe_hr:15.26.0
-
cpe:2.3:a:frappe:frappe_hr:15.27.0
-
cpe:2.3:a:frappe:frappe_hr:15.27.1
-
cpe:2.3:a:frappe:frappe_hr:15.27.2
-
cpe:2.3:a:frappe:frappe_hr:15.28.0
-
cpe:2.3:a:frappe:frappe_hr:15.28.1
-
cpe:2.3:a:frappe:frappe_hr:15.28.2
-
cpe:2.3:a:frappe:frappe_hr:15.28.3
-
cpe:2.3:a:frappe:frappe_hr:15.29.0
-
cpe:2.3:a:frappe:frappe_hr:15.3.0
-
cpe:2.3:a:frappe:frappe_hr:15.30.0
-
cpe:2.3:a:frappe:frappe_hr:15.31.0
-
cpe:2.3:a:frappe:frappe_hr:15.32.0
-
cpe:2.3:a:frappe:frappe_hr:15.32.1
-
cpe:2.3:a:frappe:frappe_hr:15.32.2
-
cpe:2.3:a:frappe:frappe_hr:15.33.0
-
cpe:2.3:a:frappe:frappe_hr:15.33.1
-
cpe:2.3:a:frappe:frappe_hr:15.33.2
-
cpe:2.3:a:frappe:frappe_hr:15.34.0
-
cpe:2.3:a:frappe:frappe_hr:15.35.0
-
cpe:2.3:a:frappe:frappe_hr:15.35.1
-
cpe:2.3:a:frappe:frappe_hr:15.35.2
-
cpe:2.3:a:frappe:frappe_hr:15.35.3
-
cpe:2.3:a:frappe:frappe_hr:15.36.0
-
cpe:2.3:a:frappe:frappe_hr:15.36.1
-
cpe:2.3:a:frappe:frappe_hr:15.37.0
-
cpe:2.3:a:frappe:frappe_hr:15.37.1
-
cpe:2.3:a:frappe:frappe_hr:15.37.2
-
cpe:2.3:a:frappe:frappe_hr:15.38.0
-
cpe:2.3:a:frappe:frappe_hr:15.38.1
-
cpe:2.3:a:frappe:frappe_hr:15.38.2
-
cpe:2.3:a:frappe:frappe_hr:15.38.3
-
cpe:2.3:a:frappe:frappe_hr:15.39.0
-
cpe:2.3:a:frappe:frappe_hr:15.39.1
-
cpe:2.3:a:frappe:frappe_hr:15.39.2
-
cpe:2.3:a:frappe:frappe_hr:15.4.0
-
cpe:2.3:a:frappe:frappe_hr:15.4.1
-
cpe:2.3:a:frappe:frappe_hr:15.40.0
-
cpe:2.3:a:frappe:frappe_hr:15.41.0
-
cpe:2.3:a:frappe:frappe_hr:15.42.0
-
cpe:2.3:a:frappe:frappe_hr:15.42.1
-
cpe:2.3:a:frappe:frappe_hr:15.42.2
-
cpe:2.3:a:frappe:frappe_hr:15.42.3
-
cpe:2.3:a:frappe:frappe_hr:15.43.0
-
cpe:2.3:a:frappe:frappe_hr:15.43.1
-
cpe:2.3:a:frappe:frappe_hr:15.44.0
-
cpe:2.3:a:frappe:frappe_hr:15.44.1
-
cpe:2.3:a:frappe:frappe_hr:15.44.2
-
cpe:2.3:a:frappe:frappe_hr:15.45.0
-
cpe:2.3:a:frappe:frappe_hr:15.45.1
-
cpe:2.3:a:frappe:frappe_hr:15.45.2
-
cpe:2.3:a:frappe:frappe_hr:15.45.3
-
cpe:2.3:a:frappe:frappe_hr:15.46.0
-
cpe:2.3:a:frappe:frappe_hr:15.46.1
-
cpe:2.3:a:frappe:frappe_hr:15.47.0
-
cpe:2.3:a:frappe:frappe_hr:15.47.1
-
cpe:2.3:a:frappe:frappe_hr:15.47.2
-
cpe:2.3:a:frappe:frappe_hr:15.47.3
-
cpe:2.3:a:frappe:frappe_hr:15.47.4
-
cpe:2.3:a:frappe:frappe_hr:15.47.5
-
cpe:2.3:a:frappe:frappe_hr:15.47.6
-
cpe:2.3:a:frappe:frappe_hr:15.47.7
-
cpe:2.3:a:frappe:frappe_hr:15.47.8
-
cpe:2.3:a:frappe:frappe_hr:15.48.0
-
cpe:2.3:a:frappe:frappe_hr:15.48.1
-
cpe:2.3:a:frappe:frappe_hr:15.49.0
-
cpe:2.3:a:frappe:frappe_hr:15.49.1
-
cpe:2.3:a:frappe:frappe_hr:15.49.2
-
cpe:2.3:a:frappe:frappe_hr:15.5.0
-
cpe:2.3:a:frappe:frappe_hr:15.50.0
-
cpe:2.3:a:frappe:frappe_hr:15.50.1
-
cpe:2.3:a:frappe:frappe_hr:15.50.2
-
cpe:2.3:a:frappe:frappe_hr:15.50.3
-
cpe:2.3:a:frappe:frappe_hr:15.51.0
-
cpe:2.3:a:frappe:frappe_hr:15.52.0
-
cpe:2.3:a:frappe:frappe_hr:15.52.1
-
cpe:2.3:a:frappe:frappe_hr:15.52.2
-
cpe:2.3:a:frappe:frappe_hr:15.52.3
-
cpe:2.3:a:frappe:frappe_hr:15.52.4
-
cpe:2.3:a:frappe:frappe_hr:15.52.5
-
cpe:2.3:a:frappe:frappe_hr:15.53.0
-
cpe:2.3:a:frappe:frappe_hr:15.54.0
-
cpe:2.3:a:frappe:frappe_hr:15.54.1
-
cpe:2.3:a:frappe:frappe_hr:15.54.2
-
cpe:2.3:a:frappe:frappe_hr:15.54.3
-
cpe:2.3:a:frappe:frappe_hr:15.55.0
-
cpe:2.3:a:frappe:frappe_hr:15.56.0
-
cpe:2.3:a:frappe:frappe_hr:15.57.0
-
cpe:2.3:a:frappe:frappe_hr:15.57.1
-
cpe:2.3:a:frappe:frappe_hr:15.58.0
-
cpe:2.3:a:frappe:frappe_hr:15.58.1
-
cpe:2.3:a:frappe:frappe_hr:15.6.0
-
cpe:2.3:a:frappe:frappe_hr:15.7.0
-
cpe:2.3:a:frappe:frappe_hr:15.7.1
-
cpe:2.3:a:frappe:frappe_hr:15.8.0
-
cpe:2.3:a:frappe:frappe_hr:15.9.0
-
cpe:2.3:a:frappe:frappe_hr:15.9.1
-
cpe:2.3:a:frappe:frappe_hr:15.9.2
-
cpe:2.3:a:frappe:frappe_hr:16.0.0
-
cpe:2.3:a:frappe:frappe_hr:16.0.1
-
cpe:2.3:a:frappe:frappe_hr:16.0.2
-
cpe:2.3:a:frappe:frappe_hr:16.1.0
-
cpe:2.3:a:frappe:frappe_hr:16.2.0
-
cpe:2.3:a:frappe:frappe_hr:16.3.0
-
cpe:2.3:a:frappe:frappe_hr:16.3.1
-
cpe:2.3:a:frappe:frappe_hr:16.4.0
-
cpe:2.3:a:frappe:frappe_hr:16.4.1